Web3 安全科学和 GoPlus：如何为安全轨道构建 Steam 和 SaaS 生态系统

imToken 是一款全球领先的区块链数字资产管理工具[ZB]，帮助你安全管理BTC, ETH, ATOM, EOS, TRX, CKB, BCH, LTC, DOT, KSM, FIL, XTZ 资产，同时支持去中心化币币兑换功能 ...

摘要： 对于广大用户来说，一笔交易从产生到最终确认的整个生命周期中，有多少环节是隐患？钓鱼页面、智能合约中的恶意逻辑、浏览器和钱包插件中的漏洞、粘贴板和特洛伊木马文件，或各种硬件设备中的漏洞，都是攻击者的常见路径，即使你避开它们，MEV 科学家也会剥夺你的潜在收益。如果没有各大Web3安全平台的监控和保护，很难想象在黑暗森林中爬行的人将如何生存。

随着Web3行业的长期演进，主流的Web3安全攻防思路已经分为两类：前者依赖安全机构对B端产品进行全面审计，后者需要在Web3生态中建立全面的个人防护措施。未来 web3 安全的核心叙事将集中在 C 端。

在充分考虑业务逻辑后，我们将努力成为规模化的Web3安全SAAS生态或类似Steam的商店，打造“以用户为中心”的Web3安全范式，全面覆盖B端和C端。推出了易于集成的“安全模块化”服务，将为交易全流程提供安全保护，并为各大平台设计易于集成的安全模块，包括钱包、DApp、RPCs、定序器专用插件，实现全面的链上风险管理。

接下来，我们将从Web3安全知识的普及入手，系统地为大家梳理出那些重要但又常常被忽视的知识。除了让更多人感受到“黑暗森林”的危险之外，让我们来了解一下为什么以公司为代表的Web3安全SAAS生态会变得越来越重要。

Web3 安全的现状：黑暗森林

在 2020 年的一篇题为《是黑暗的》的文章中，两位研究者直接将以太坊生态系统乃至整个 web3 描述为“黑暗森林”，这一概念最初源于“三体问题”的宇宙社会学法则，描述了一个充满各种未知危险和残酷丛林法则的生活环境。后来，慢雾再次引用了《黑暗森林自助手册》中的“黑暗森林”概念，总结了当时的Web3环境：江湖险恶，人人险象。

显然，慢雾的言论并非毫无根据。据零时科技统计，2023年，Web3领域将发生506种不同类型的攻击，累计损失110亿美元，其中435起安全事件发生在六大赛道（公链、跨链桥、钱包、交易所、NFT、DeFi），损失超过79.83亿美元， 占72%。

可以说，Web3 中的“监管缺失”是一把双刃剑：在我们夺回数据和资产主权的同时，我们也踏入了一片充满危险的黑暗森林，尤其是在代码即法律的环境下，没有技术知识或防范意识不足的人们，更是面临着钓鱼等多种安全风险， 地毯式拉扯和骗局一直存在，并且极易遭受损失。自 2020 年 DeFi 夏季以来，庞大的 TVL 为闪电贷攻击提供了资产，给 web3 安全带来了新的隐患。

然而，相较于B端平台的智能合约等单点风险，C端面临的威胁范围更广，安全要求更强——无论是普通人还是项目发起人，都曾多次遭到钓鱼、欺诈合同等C端攻击的攻击。相较于对B侧协议的攻击，针对C侧个体用户的攻击更加多样化，威胁性更强，影响也更大——这使得用户的直接感知体验极差，特别是对于新用户来说，由于缺乏安全知识，在复杂的链上操作中容易遭受损失。

如何建立更全面的C端防护措施，帮助用户对抗多种攻击方式，将是考验Web3安全赛道上各大平台和项目方的核心问题。让我们仔细看看基于区块链的安全风险，以及如何在交易的整个生命周期中预防它们，从启动到关闭。

从事务的生命周期中可以看出安全风险

在区块链中，从用户在前端发起交易到交易最终得到确认的过程涉及一系列复杂的步骤。这包括交易创建、验证、广播、链上和最终确认，在这个类似链的过程中隐藏着许多脆弱的弱点。我将对此进行扩展imToken官网，并指出其对安全的影响。

生命周期

从用户在前端发起交易到交易最终得到确认，整个过程都经过（Txn）发起和创建，广播到区块链的RPC节点并接收验证，然后广播到其他节点，直到被出块节点获取，最后按照一定的规则记录在链上。它大致分为以下步骤

1. 提交数据：用户根据要调用的智能合约逻辑，在前端构建交易数据。

2.生成签名：用户通过客户端或钱包插件对生成的交易数据进行签名，以证明交易是在其授权后发起的。

3.提交到RPC节点：钱包插件将签名的交易提交给区块链网络中的RPC节点，RPC节点会进行验证，如果交易数据出现问题，如签名无效或其他错误，将被拒绝，不会重新播出。4. Re-P2P广播：RPC节点验证交易后，会再次将交易广播到网络中的其他节点，最后将交易数据传播到网络中的所有节点。

5. 区块生成和最终确认：区块生产者将交易打包到区块中后，区块P2P将被广播到其他节点设备。一个区块被一个节点同步后，并不意味着它已经完成了“最终确认”，只有在多个区块生成并与全网同步后，才能得到“最终确认”。

这些过程看似简单，但实际上却是凶残的。例如，在生成交易数据的初期过程中，用户很难直接识别出他们交互的DAPP页面是否为钓鱼网站，或者DAPP智能合约是否包含恶意逻辑，是否触发恶意授权或币种盗窃。

在生成数字签名的过程中，用户主要依靠钱包的前端进行操作，因此钱包的健康是安全的关键，但即使是全球最流行的浏览器、插件钱包、OKX、Keplr等，基于它们，也会因为自身的漏洞而受到攻击。

例如，如果您经常导出私钥，那么您的粘贴板可能会受到某些应用程序的监视，或者您通过某些文本文件录制了助记词，这些文本文件很可能会被某些可以访问它们的应用程序扫描，甚至苹果手机也暴露在有针对性的漏洞中。这意味着钱包在设备的使用环节上会遇到各种威胁。

参考资料：“信任：的手机存在高风险零日漏洞，可以被黑客利用

“。

当然，这还不是全部。如果矿工或者其他人模拟你的行为，分析出交易有盈利空间，那么就会有人模仿你的交易路径，多付一点费用冲到你面前，“偷走”本应属于你的交易利润。

据鹰眼数据显示，2023年各种抢购交易（三明治攻击）的MEV身价高达2500万美元，这些利润本应属于原始交易发起者，但都被专业的MEV科学家抢走了。区块链之所以像一片“黑暗森林”，也要归功于MEV的科学家们。

Web3 安全攻防新思路

主流思想

我们先简单介绍一下当今主流的Web3安全攻防思路，包括B侧和C侧

B端（项目方、DApp协议等Web3平台）的安全措施主要是传统的审计模式，最典型的特点就是我们熟悉的：依靠安全机构提前对B端进行全面审计，并提供一套以重心为重心的被动防御系统——提前地址采集， 在事件发生时进行干预，并在事件发生后积极追索;

绝大多数Web3安全项目也推出了面向C端安全插件（Scam等）、合约/地址风控监控（链上等）、高风险地址交易链追索权（）、合同授权管理（）等常用的ToC安全服务，可以在一定程度上满足安全需求，但往往不够全面和深入。

如何重塑以用户为中心的Web3安全范式，覆盖2B和2C的Web3安全一线，并进一步优化2C的安全，成为Web3安全的关键。毕竟，你不能保证每天涌现的成百上千个新协议都会被安全机构审计并发现是错误，这是不现实的。但是你可以从个人的角度来保护你的资产，防止它们受到网络钓鱼的攻击，并从C端对你的资产进行很好的锁定。

可以说，Web3安全赛道的终局在C端，谁掌握着“个人链上地址”的牛鼻子，谁就能拥有话语权。

Web3 安全的新思路

Web3安全企业纷纷推出“以用户为中心”的“Web3整体安全理念”，他们表示：“Web3安全是一个整体，不应仅仅依赖审计人员的事先审查，而应重塑以用户为中心的Web3安全范式”。例如，您可以直接链接您的钱包并进行安全扫描，覆盖大部分风险指标，并支持每个用户自行了解潜在的安全风险。

相较于现有的Web3安全项目，如特定的安全场景服务，或链上的等特殊交易溯源和合约地址风控等其他细分工具，定位更倾向于底层基础设施和中间件：封装核心安全模块，提供一键集成和调用插件服务， 使得任何其他平台都可以通过提供的安全模块将其集成并嵌入到自己现有的产品中，甚至可以根据自己的需求构建定制化的链上安全服务。

例如，下面详细描述的API可以提供实时、自动化的安全分析和数据监控，支持与其他平台直接集成，并使用令牌GPS作为收费来调用相应的API监控等模块化服务。

这种模式就像一个SAAS生态平台，会持续吸引更多的安全模块开发者在其平台上发布安全服务模块，ToB或ToC的用户在集成和采用这些服务的同时，会为平台积累数据和调用记录，最终使后者成为一个数据湖，在数据维度上筑起护城河，产生飞轮效应。

未来叙事：Web3 安全 SaaS 生态系统的创造者

事实上，安全是一个整体，不能仅仅依靠安全机构的前审计，要想打造全方位的安全服务，就必须协调B端和C端，并建立一个以用户为中心、事前多方风险控制、预防而不是事后问责的“Web3综合安全体系”。

面对上述安全风险，提出的解决方案覆盖了USM等产品模块，未来将趋向于“平台”和“中介”，将设计为分布式基础设施，由两个核心模块组成：分布式去中心化安全数据层和计算层。接下来，让我们从“事前、事中、事后”三个维度来深入理解其产品逻辑。

事前预防-安全风险检测

俗话说“预防不如预防”，阻止危险事件的最好方法就是防止危险事件的发生。交易生命周期中最重要的部分是交易启动和生成的步骤。黑客惯用的手段，如网络钓鱼诱使、欺诈性授权和恶意关联合同，仅在 2024 年初就给用户造成了超过 2 亿美元的损失。在交易发起和生成时，如何将危险扼杀在摇篮中，是安全平台必须关注的一个环节。

对此，团队提供了一系列的API接口，从多个角度对上述问题进行覆盖，对应的风险类型总结如下：

事实上，上述问题归根结底是单个用户可以获取的数据有限，而黑名单等机制需要依赖海量数据集，这需要一个基于平台化的产品体系。选择将自己定位为“安全插件的SAAS平台”，具体充当第三方安全模块和钱包插件之间的中介，目的更多的是聚合API调用数据和检测结果，并作为一个平台获取各种数据，以更好地完善其安全检测产品和黑名单，是构建飞轮效应的好主意。

同时，只要逐步稳固“Web3安全应用商店”的定位，就可以利用应用聚合者的身份，以平台的形式获取更多的流量，不仅方便吸引C端用户，也方便吸引更多的第三方插件开发者和合作伙伴。

总的来说，定位不仅仅是第三方安全机构，更是一个“平台”，而平台往往意味着充当开发者和用户之间的中介，同时，平台会利用用户数据不断改进自己的产品，筑牢护城河。

进程内拦截——全流程拦截系统

当交易通过了启动和生成阶段时，当它在区块链网络中广播时，风险就更加隐蔽。例如，当您发起盈利交易时，如果被 MEV 机器人检测到，您随时可能受到三明治攻击，通常称为“被抓住”，或被抢占交易权。更受欢迎的客户端 Jito 已禁用其内存池功能以响应三明治攻击。

在系统下，只要区块链节点集成了平台提供的安全模块，就会通过一系列手段对节点交易池进行实时监控，安全引擎将对交易池中的交易活动进行分析和检测。

由于MEV机器人经常使用少量地址来发起频繁的交易请求，或者通过特征性的交易路径发起三明治攻击，只要安全引擎检测到的异常地址就可能被列入黑名单。此外，当系统检测到攻击者发起的事务时，它会向相关节点发出警报，建议它拦截或延迟这些事务数据的广播。

事后辩护 - 计算残余物

交易播出后，一切都尘埃落定了吗？不，不是真的。记得我们之前说过，用户在使用dApp和钱包时需要授权合约，这意味着我们的资产经常可以被第三方合约任意处置，这是非常危险的。

在所有的交易完成后，我们实际上需要对其进行最后的润色，以确保未来不会出现任何问题。平台提供的第三方安全模块将在交易完成后，在发起交易时撤销用户对合约的授权，帮助钱包插件自动释放或最小化代币授权金额，防止攻击者有针对性地盗币。

此外，平台将持续对链上已触发的各种交易行为进行检测，检测各种实时攻击，完善其安全数据集和黑名单，并在利用平台现有数据的同时，不断吸收各种外部数据，加强风险预测能力。

SAAS生态系统的愿景

纵观整个安全路线及其愿景，不难看出，在安全领域，他们秉承小公司、大生态的核心指导思想，一直在前行。对于开发，作者可以从他的数据的角度提出两个问题：

我们如何共同治理并建立共识？

在安全网络中，整个生态是共同治理的，而区块链对中心化的规避程度最高，因此头部网络作为用户的安全也远离了这个缺陷，整个网络的共同治理是由用户、验证、数据、计算组成的集体社区。不可避免的是，每个社区群体都需要有一个可持续的经济循环系统来维持它：

这种生态可以看作是生产者和消费者之间的关系，数据贡献者、计算节点贡献者和安全开发者构成了生产者，用户以消费者的身份使用或间接使用这些“产品”，并支付相应的代币，使得“生产人员”获利，可以更热情地为安全做出贡献，用户获得“产品”带来的安全利益，有效维护资金安全Trust钱包如何使用DApp，更倾向于为安全付出。

同时，生态本身也是一个人类群体，人性是社会性的，整个共治体系融入到社会分享的属性中，每个人都可以贡献相关数据，从一个消费者到生产者，不同的场景有不同的身份，这样整个生态就完整了，可以流通，这也符合满足可持续安全网络的最佳方式。

安全生态系统的未来会是什么样子？

如前所述，安全生态的未来是由小公司和大生态的未来主导的，Web2很难出现在被少数龙头企业垄断的Web3领域。在区块链智能合约安全审计和监控方面已经处于领先地位，为链上数据的检测和漏洞扫描扛起了大旗，同时注重数据的可用性和可验证性，并基于ToC安全模块的SAAS生态试图开辟一条独特的路径。

每个项目方都在努力专攻自己的方向，但在相互涉及的领域上没有明确的界限，安全永远是一个整体，各个赛道的头部企业都应该相互配合，以提高整个行业的水平作为一个整体。

如前所述，在事前风险检测系统中，企业在面对各种风险行为时很难相互照顾，只有通过聚合资源，才能消除短板效应，构建繁荣的生态系统。

就像区块链的社区化、全球化、去中心化一样，Web3安全也需要具有社区性质的开放生态建设，而各家各业力量的协同发展，才是Web3安全生态的未来。